Fisco: la disciplina dei controlli supportati dalla AI

di ANDREA BONGI (da Italia Oggi)

Intelligenza artificiale e fisco, il contribuente selezionato per i controlli, con le tecniche di pseudonimizzazione, va avvisato. E’ questa la conseguenza che si trae dalla lettura della sentenza della corte di giustizia Ue sul trattamento dei dati pseudonomizzati e la tutela della privacy. Il riferimento è alla decisione del 4/9/2025, che ha definito la causa n. C-413/23. Si tratta infatti di una decisione che può mettere in discussione le procedure di interconnessione fra i vari enti dell’amministrazione finanziaria – e, più in generale della pubblica amministrazione – quando oggetto dei trattamenti informatizzati e delle relative analisi di rischio fiscale, siano le informazioni anagrafiche dei contribuenti presenti nel c.d. archivio dei conti correnti.

Al fine di attenuare i rischi di intrusioni indesiderate e di fughe di informazioni, la legge n. 160/2019 e il successivo decreto ministeriale attuativo del 28.6.2022, prevedono infatti che, le attività informatizzate di analisi di rischio antievasione aventi ad oggetto i dati e le informazioni personali dei contribuenti presenti nell’archivio dei rapporti finanziari, siano effettuate con l’utilizzo di tecniche di pseudonimizzazione e perturbazione di alcune variabili. Le informazioni presenti nell’anagrafe dei rapporti finanziari relative ai contribuenti sono infatti “altamente” sensibili e devono essere protette dal rischio intrusione o diffusione a soggetti non autorizzati. Non basta pseudonimizzare un dato personale per mettere fuori gioco le tutele previste dal GDPR (regolamento Ue sulla privacy n. 2016/679) a favore degli interessati. Le procedure di pseudonimizzazione, secondo la decisione dei magistrati della Corte di Giustizia dell’unione Europea, si rivelano particolarmente inefficaci e fanno scattare tutta una serie di tutelea favore dei contribuenti interessati – fra i quali in primis l’obbligo di essere avvisati del trattamento – nel momento in cui tali dati vengono trasmessi da un ente ad un altro. Soprattutto quando l’ente destinatario dei dati pseudonimizzati può facilmente rimuovere tali ostacolie identificare, con assoluta certezza,i titolari dei conti correnti e delle altre informazioni presenti in tale delicatissima banca dati.

Come se non bastasse secondo i giudici unionali la sola pseudonimizzazione dei dati personali non è sufficiente per sospendere o eliminare le tutele previste dal regolamento Ue sulla privacy n.2016/679 a favore dei soggetti interessati. Gli impatti che la decisione dei giudici comunitari potrebbe avere sulle tecniche informatizzate di analisi del rischio di evasione fiscale potrebbero essere molteplici. Oltre alle difficoltà di scambio di dati e informazioni fra i vari enti della pubblica amministrazione – ad esempio fra l’Agenzia delle Entrate e la guardia di finanza – potrebbero essere anche le stesse tecniche di protezione ad essere messe in discussione (come peraltro già fatto dal Garante Privacy che le ha sempre definite come poco efficaci).

Tornando allo scambio di informazioni supponiamo che l’Agenzia delle entrate proceda, tramite pseudonimizzazione, ad effettuare una selezione di contribuenti sulla base di specifici indicatori di rischio precedentemente individuati utilizzando anche i dati presenti nell’archivio dei rapporti finanziari (anche congiuntamente ad altre informazioni attinte da altre banche dati disponibili). Se tale lista selettiva venisse condivisa con altri enti dell’amministrazione quali, ad esempio, la guardia di finanzao l’Inps, ecco che le tutele per gli interessati disposti dalla Corte di Giustizia UE diverrebbero obbligatorie imponendo, fra gli altri, l’obbligo di informare i contribuenti interessati.

* Articolo integrale pubblicato su Italia Oggi del 6 settembre 2025 (In collaborazione con Mimesi s.r.l)